Países de alto risco GAFI 2026: obrigações PLD-FT no Brasil

Listas GAFI 2026 e obrigações PLD-FT no Brasil

Em 13 de fevereiro de 2026, o GAFI (Grupo de Ação Financeira Internacional) mantém Coreia do Norte, Irã e Myanmar na sua lista negra e 22 jurisdições sob monitoramento intensificado (lista cinza), incluindo Argélia, Bulgária, Quênia, Kuwait, Líbano, Síria, Venezuela e Vietnã. Para as pessoas obrigadas no Brasil, essas designações têm impacto direto nas obrigações previstas na Lei n.º 9.613/1998 (Lei de Lavagem de Dinheiro), na Circular Bacen n.º 3.978/2020 e nas normas setoriais do COAF, CVM e SUSEP.

Base regulatória: O artigo 10 da Lei 9.613/1998 impõe às pessoas obrigadas a adoção da Abordagem Baseada em Risco (ABR) para a identificação e avaliação dos riscos de lavagem de dinheiro e financiamento do terrorismo. O risco-país é um dos fatores obrigatórios dessa avaliação, com as listas do GAFI constituindo referência primária. O COAF publica os comunicados das reuniões plenárias do GAFI traduzidos para o português, disponíveis no portal gov.br.

---

Como as listas GAFI se articulam com o marco regulatório brasileiro

O Brasil adota uma estrutura de supervisão setorial, com diferentes autoridades responsáveis por diferentes segmentos:

Listas negra e cinza: Para os países da lista negra (Coreia do Norte, Irã e Myanmar), a Resolução Bacen 4.753/2019 e as normas CVM/SUSEP exigem avaliação de risco máximo e comunicação ao COAF de qualquer operação. Para os países da lista cinza, aplica-se a diligência reforçada proporcional ao risco identificado.

---

Jurisdições sob monitoramento intensificado do GAFI (fevereiro de 2026)

Os seguintes países assumiram compromissos formais com o GAFI para corrigir deficiências identificadas em seus sistemas PLD-FT:

Argélia, Angola, Bolívia, Bulgária, Camarões, Costa do Marfim, República Democrática do Congo, Haiti, Quênia, Kuwait, Laos, Líbano, Mônaco, Namíbia, Nepal, Papua Nova Guiné, Sudão do Sul, Síria, Venezuela, Vietnã, Ilhas Virgens Britânicas, Iêmen.

Adições em fevereiro de 2026: Kuwait e Papua Nova Guiné foram incluídos na lista cinza durante a plenária de fevereiro de 2026 por deficiências estratégicas em seus marcos PLD-FT/CPF.

---

Obrigações concretas para pessoas obrigadas no Brasil

Diligência devida reforçada: o que exige a regulação brasileira

Nos termos da Circular Bacen 3.978/2020 (arts. 16–21) e normas setoriais equivalentes, a diligência reforçada para clientes ou operações com conexão a países listados pelo GAFI inclui:

• Documentação adicional: cópia autenticada de documento de identificação complementar (CPF para pessoas físicas, CNPJ para pessoas jurídicas), comprovante de endereço atualizado (máximo 90 dias)
• Origem dos recursos: documentos comprobatórios da procedência dos ativos — extratos bancários, escrituras de transferência, declarações de IR junto à Receita Federal
• Aprovação pela alta administração: a relação de negócios com cliente de país listado deve ser aprovada pelo Diretor responsável pela função de PLD-FT antes do início da relação
• Monitoramento contínuo reforçado: revisão periódica com frequência superior à padrão; parametrização específica no sistema de monitoramento transacional

Dados setoriais: Segundo o Relatório ACFE 2024 às Nações, fraudes permanecem sem detecção por uma média de 87 dias em organizações sem controles reforçados. O monitoramento contínuo de clientes de países de risco reduz este prazo de forma significativa.

Comunicações ao COAF

O artigo 11, § 1.º, da Lei 9.613/1998 impõe às pessoas obrigadas a comunicação ao COAF de operações suspeitas no prazo de 24 horas após a identificação da suspeita. Para operações envolvendo países da lista negra do GAFI, a comunicação é obrigatória independentemente do valor.

O Brasil adota limiares automáticos de comunicação, definidos em normas setoriais:

• Bacen: operações em espécie ≥ R$ 50.000
• COAF: operações ≥ R$ 10.000 para setores específicos (joias, obras de arte)

Para países da lista cinza, qualquer operação que não encontre explicação econômica ou jurídica satisfatória deve ser comunicada, independentemente de valor.

---

O contexto internacional e a LGPD

O Brasil não está vinculado à lista de países terceiros de alto risco da União Europeia. O quadro regulatório brasileiro baseia-se diretamente nas 40 Recomendações do GAFI e nas normas setoriais mencionadas acima.

LGPD e dados de países listados: A coleta de documentos estrangeiros para fins de diligência reforçada deve observar a Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018). A transferência internacional de dados pessoais para fins de verificação KYC requer, em regra, uma das bases legais do artigo 33 da LGPD (consentimento, proteção do crédito, obrigação legal). A ANPD publicou orientações específicas sobre transferências internacionais em 2024.

---

Impacto operacional: adaptar o programa de PLD-FT

Atualização das matrizes de risco país

Cada plenária do GAFI exige a revisão das matrizes de risco. As normas Bacen exigem que as instituições financeiras mantenham política de risco-país documentada e revisada no mínimo anualmente — ou sempre que houver atualização significativa das listas internacionais.

A plataforma CheckFile cobre 32 jurisdições e suporta mais de 3.200 tipos de documentos, incluindo documentos brasileiros (CPF, CNPJ, RG, CNH) e documentos estrangeiros dos países listados, para controles documentais em processos de onboarding e KYC contínuo.

Remediação KYC de clientes existentes

A inclusão de um país na lista cinza do GAFI é um evento gatilho para revisão do cadastro KYC de clientes existentes com conexões com essa jurisdição. O programa de PLD-FT da instituição deve prever:

• Prazo de remediação (tipicamente 30–90 dias conforme o perfil de risco)
• Processo de restrição temporária para clientes não responsivos
• Procedimento de encerramento da relação se a diligência reforçada não puder ser aplicada

Para mais detalhes sobre remediação KYC, consulte nosso guia de diligência reforçada e nosso recurso sobre screening de sanções.

---

Setores brasileiros especialmente expostos

---

Perguntas frequentes

Com que frequência o GAFI atualiza suas listas de países de alto risco?

O GAFI publica atualizações três vezes por ano após cada reunião plenária (habitualmente em fevereiro, junho e outubro). Os comunicados são traduzidos para o português e disponibilizados no portal do COAF em até 48 horas da publicação oficial. Recomenda-se assinar os alertas direto no fatf-gafi.org.

A lista cinza do GAFI cria obrigação legal específica no Brasil?

Diretamente, não. A legislação brasileira não cria uma obrigação automática vinculada à lista cinza do GAFI no mesmo sentido que o direito europeu. No entanto, a Circular Bacen 3.978/2020 exige que as instituições adotem a ABR (Abordagem Baseada em Risco) e que o risco-país seja avaliado de forma documentada. A inclusão na lista cinza é evidência suficiente de risco elevado para fins dessa avaliação.

Devo encerrar todos os relacionamentos com clientes de países listados?

Não necessariamente. O GAFI não exige encerramento sistemático. Se a diligência reforçada pode ser exercida e os riscos são mensuráveis e aceitáveis, a relação pode continuar com controles aumentados. O encerramento é obrigatório se o cliente não cooperar com a coleta de informações exigidas ou se o risco for inaceitável.

Qual é o prazo para comunicar ao COAF uma operação suspeita envolvendo país da lista negra do GAFI?

O prazo é de 24 horas a partir da identificação da suspeita, conforme o artigo 11, § 1.º, da Lei 9.613/1998. Para países da lista negra (Coreia do Norte, Irã e Myanmar), qualquer operação — mesmo sem suspeita objetiva — deve ser comunicada pelo princípio da máxima cautela estabelecido nas normas setoriais.

Como a LGPD afeta a coleta de documentos estrangeiros para KYC de clientes de países listados?

A coleta é permitida sob a base legal do cumprimento de obrigação legal ou regulatória (art. 7.º, II da LGPD). O consentimento não é necessário nesses casos. No entanto, o armazenamento, o tratamento e eventual transferência para o exterior dos dados coletados devem obedecer aos requisitos da LGPD e às orientações da ANPD sobre transferências internacionais.